طراحی و پیاده‌سازی معماری شبکه امن سازمانی بر پایه Network Segmentation و Zero Trust

در بسیاری از شبکه‌های سازمانی، تمرکز اصلی امنیت هنوز روی مرز بین شبکه داخلی و اینترنت قرار دارد. فایروال در لبه شبکه نصب می‌شود، دسترسی‌های ورودی کنترل می‌شوند و تصور بر این است که سیستم‌هایی که داخل شبکه قرار دارند قابل اعتماد هستند. مشکل این مدل زمانی مشخص می‌شود که مهاجم بتواند از اولین لایه دفاعی عبور کند.

اگر یک مهاجم از طریق حساب کاربری سرقت‌شده، سیستم آلوده یا آسیب‌پذیری یک سرویس وارد شبکه شود، در یک شبکه تخت یا Flat Network ممکن است بتواند به تعداد زیادی از سرورها، سیستم‌ها و سرویس‌های داخلی دسترسی پیدا کند. یکی از روش‌های مهم برای محدود کردن چنین سناریویی، Network Segmentation یا تقسیم‌بندی شبکه است. اما دقیقاً Network Segmentation چیست و چه ارتباطی با معماری Zero Trust دارد؟

Network Segmentation چیست؟

Network Segmentation به فرآیند تقسیم یک شبکه بزرگ به بخش‌های کوچک‌تر و کنترل‌شده گفته می‌شود. هر بخش می‌تواند شامل گروه مشخصی از کاربران، سرورها، تجهیزات یا برنامه‌ها باشد و ارتباط میان این بخش‌ها بر اساس Policyهای امنیتی کنترل شود. برای مثال در یک سازمان می‌توان شبکه کاربران، سرورهای پایگاه داده، تجهیزات مدیریتی، سیستم‌های مالی، محیط توسعه و تجهیزات IoT را در بخش‌های جداگانه قرار داد. در چنین معماری‌ای، صرف اینکه دو سیستم در شبکه داخلی سازمان قرار دارند به این معنا نیست که باید بتوانند بدون محدودیت با یکدیگر ارتباط برقرار کنند. مایکروسافت نیز در راهنمای امنیت شبکه خود تأکید می‌کند که شبکه‌های Flat دسترسی گسترده میان منابع ایجاد می‌کنند و ضعف در Segmentation می‌تواند حرکت جانبی مهاجم را آسان‌تر کند.

شرح رویکرد Zero-Trust و مزایای آن

چرا Network Segmentation اهمیت دارد؟

فرض کنید یک کاربر روی یک فایل مخرب کلیک می‌کند و سیستم او آلوده می‌شود. اگر شبکه سازمان تقریباً بدون محدودیت داخلی طراحی شده باشد، مهاجم ممکن است بتواند از همان سیستم برای شناسایی سرورها، بررسی پورت‌های باز، سرقت Credential و حرکت به سمت سایر سیستم‌ها استفاده کند. این فرایند در امنیت سایبری با عنوانLateral Movement  شناخته می‌شود.

هدف Network Segmentation این است که حتی اگر یک بخش از شبکه دچار مشکل شد، مهاجم نتواند به‌سادگی از آن بخش به سایر قسمت‌های سازمان حرکت کند. در واقع سؤال اصلی از این تغییر می‌کند که: چگونه جلوی ورود مهاجم را بگیریم؟ به این سؤال: اگر مهاجم وارد شد، تا کجا می‌تواند پیش برود؟ این نگاه یکی از مفاهیم اساسی در معماری‌های امنیتی مدرن است.

Network Segmentation چگونه پیاده‌سازی می‌شود؟

تقسیم‌بندی شبکه فقط به ایجاد چند VLAN محدود نمی‌شود. VLANمی‌تواند نقطه شروع مناسبی برای جداسازی منطقی شبکه باشد، اما امنیت زمانی ایجاد می‌شود که ارتباط میان این بخش‌ها نیز کنترل شود. برای مثال ممکن است سرورهای Database در VLAN جداگانه قرار داشته باشند، اما اگر کاربران بتوانند بدون محدودیت به تمام پورت‌های این سرورها متصل شوند، صرفاً ایجاد VLAN امنیت قابل توجهی ایجاد نکرده است.

بیشتر بخوانید: امنیت در محیط‌های مجازی با Micro-Segmentation و Zero Trust

در یک معماری مناسب،Segmentation  می‌تواند با ترکیبی از VLAN، Subnet، ACL، Firewall، Network Access Control، تجهیزات SDN و Policyهای مبتنی بر هویت اجرا شود. در محیط‌های مجازی و Cloud نیز می‌توان Policyها را نزدیک‌تر به خود Workload اعمال کرد تا کنترل ارتباطات وابسته به محل فیزیکی سیستم نباشد.

تفاوت Macro Segmentation و Micro-Segmentation

یکی از نکات مهم در پاسخ به سؤالNetwork Segmentation  چیست، تفاوت میان Macro Segmentation و Micro-Segmentation است. در Macro Segmentation، شبکه به بخش‌های نسبتاً بزرگ تقسیم می‌شود. برای مثال می‌توان شبکه کاربران، سرورها، دیتابیس‌ها، DMZ و مدیریت را از یکدیگر جدا کرد. این روش برای ایجاد یک معماری پایه امنیتی بسیار مفید است.

اما Micro-Segmentation کنترل بسیار دقیق‌تری ایجاد می‌کند. در این روش حتی ارتباط میان Workloadهای داخل یک بخش نیز می‌تواند بر اساس نیاز واقعی محدود شود. برای مثال فرض کنید سه Application Server فقط باید از طریق TCP/443 با یک Load Balancer ارتباط داشته باشند و تنها یک Application مشخص اجازه اتصال به Database روی پورت خاص را داشته باشد. Micro-Segmentation  اجازه می‌دهد چنین Policyهایی با Granularity بیشتری اجرا شوند.

راهنمای شبکه Zero Trust مایکروسافت نیز پیشنهاد می‌کند ابتدا یک استراتژی Macro Segmentation  ایجاد شود و سپس در بخش‌های حساس‌تر از Micro-Segmentation برای محدودسازی دقیق‌تر ارتباطات استفاده شود.

بیشتر بخوانید: بررسی امنیت IoT و معماری Zero Trust، چرا امنیت IoT به یک بحران تبدیل شده است

ارتباط Network Segmentation با Zero Trust چیست؟

Zero Trust  بر یک اصل مهم استوار است: صرف قرار گرفتن یک کاربر یا سیستم در شبکه داخلی نباید باعث ایجاد اعتماد ضمنی شود. NIST در استاندارد SP 800-207 تأکید می‌کند که در معماری Zero Trust، اعتماد نباید فقط بر اساس محل شبکه، مالکیت دستگاه یا قرار گرفتن در LAN سازمان ایجاد شود. تصمیم دسترسی باید بر اساس هویت، وضعیت دستگاه، Policy و شرایط درخواست اتخاذ شود. به همین دلیل Network Segmentation یکی از ابزارهای مهم برای پیاده‌سازی Zero Trust است، اما Zero Trust فقط به Segmentation محدود نمی‌شود. این تفاوت بسیار مهم است.

در معماری سنتی ممکن است گفته شود: این سرور داخل VLAN سرورهاست، بنابراین قابل اعتماد است. اما در Zero Trust سؤال متفاوت است: این Workload دقیقاً چرا باید به آن سرویس دسترسی داشته باشد؟ اگر پاسخ مشخصی وجود نداشته باشد، ارتباط نباید به‌صورت پیش‌فرض مجاز باشد.

اصل Least Privilege در Segmentation

یکی از اهداف اصلی طراحی Network Segmentation، اجرای اصلLeast Privilege  است. بر اساس این اصل، هر کاربر، دستگاه یا سرویس فقط باید به منابعی دسترسی داشته باشد که برای انجام وظیفه خود واقعاً به آن‌ها نیاز دارد. برای مثال یک سیستم کاربری معمولاً نیازی ندارد مستقیماً به پورت مدیریتی ESXi، SQL Server  یا تجهیزات شبکه دسترسی داشته باشد. به همین ترتیب، یک Web Server نباید بتواند بدون دلیل با تمامی سرورهای داخلی سازمان ارتباط برقرار کند. با طراحی Policyهای مناسب، می‌توان ارتباطات غیرضروری را حذف کرد و سطح دسترسی مهاجم را در صورت نفوذ کاهش داد.

آیا VLAN برای Network Segmentation کافی است؟

یکی از اشتباهات رایج این است که تصور کنیم ایجاد VLAN به‌تنهایی به معنای Segmentation امن است. VLAN بیشتر یک مکانیزم جداسازی منطقی در شبکه است. امنیت واقعی زمانی ایجاد می‌شود که ارتباط بین VLANها کنترل شود. اگر Inter-VLAN Routing بدون محدودیت انجام شود، مهاجم همچنان ممکن است بتواند میان بخش‌های مختلف شبکه حرکت کند.

بنابراین باید مشخص شود:

• چه سیستمی اجازه ارتباط دارد؟
• با کدام مقصد؟
• روی چه پروتکل و پورتی؟
• تحت چه شرایطی؟
• آیا این ارتباط باید ثبت و مانیتور شود؟

این Policyها معمولاً توسط Firewall، ACL یا راهکارهای

 در نهایت، اثربخشی Network Segmentation زمانی مشخص می‌شود که طراحی آن بر اساس نیازهای واقعی کسب‌وکار و جریان ارتباط میان سرویس‌ها انجام شده باشد. ایجاد Segmentهای متعدد بدون شناخت وابستگی میان سامانه‌ها می‌تواند پیچیدگی عملیاتی را افزایش دهد و حتی تیم شبکه را به سمت ایجاد Ruleهای بیش از حد باز سوق دهد. به همین دلیل پیش از پیاده‌سازی، باید جریان‌های ترافیکی، سرویس‌های حیاتی، مسیرهای مدیریتی و ارتباطات ضروری به‌دقت شناسایی شوند. پس از اجرا نیز مانیتورینگ مستمر ترافیک بین بخش‌های مختلف شبکه و بازبینی دوره‌ای Policyها اهمیت زیادی دارد. این رویکرد باعث می‌شود تقسیم‌بندی شبکه از یک پیکربندی صرفاً فنی به بخشی از معماری امنیتی سازمان تبدیل شود و در کنار اصول Zero Trust، امکان کنترل دقیق‌تر دسترسی‌ها و کاهش دامنه اثر حملات سایبری را فراهم کند.